2SDnjcbPXe3
На днях в популярной системе форумов vBulletin были обнаружены две критические уязвимости, которые уже активно эксплуатируются злоумышленниками. Как сообщает BleepingComputer, дыры в безопасности получили идентификаторы CVE-2025-48827 и CVE-2025-48828. Одна из них оценивается в 10 баллов по шкале CVSS — это максимальный уровень угрозы.
Уязвимости затрагивают версии vBulletin 5.0.0 — 5.7.5 и 6.0.0 — 6.0.3 при работе на PHP 8.1 и выше. По сути, баг позволяет выполнить удалённый код (RCE) на сервере без авторизации, предоставляя хакерам полный доступ к системе.
Исследователь безопасности Эджидио Романо обнаружил ошибку 23 мая 2025 года. По его данным, проблема кроется в неправильном использовании API Reflection в PHP. Изменения в языке, начиная с версии 8.1, позволили вызывать защищённые методы без должной настройки их доступности, что и открыло лазейку для атак.
Особую опасность представляет связка уязвимостей: злоумышленники через специально подготовленные URL вызывают внутренние методы форума, обходят фильтры безопасности шаблонов vBulletin и внедряют вредоносный код в серверную систему. В результате атакующий получает доступ к командной строке сервера, действуя от имени веб-сервера.
Исследователь Райан Дьюхёрст 26 мая зафиксировал первые попытки эксплуатации одной из уязвимостей на своих «ловушках» для хакеров (honeypots). Попытки атак исходили, в том числе, из Польши. Злоумышленники загружали на сервер PHP-бэкдоры, чтобы получить постоянный доступ к системе.
Отметим, что разработчики vBulletin, скорее всего, уже устранили проблему ранее — ещё при выходе обновлений 6.0.x Patch Level 1 и 5.7.5 Patch Level 3. Однако многие администраторы форумов до сих пор не установили эти исправления, оставляя свои площадки уязвимыми.
vBulletin остаётся одной из наиболее популярных платформ для форумов, на которой построены тысячи сообществ по всему миру. Но сложная архитектура, активное использование мобильных API и широкая функциональность создают значительную поверхность атаки для киберпреступников.
Как быстро адаптировать ИТ-инфраструктуру к переменам и при этом не потерять стабильность?
21% промышленных компаний в мире планируют расширить использование технологий искусственного интеллекта для решения задач кибербезопасности — на основе как внешних ИИ-сервисов, так и собственных разработок.
В июле 2026 года в России зафиксировали рекордное количество веб-атак на российские компании – 417 млн.
С 30 го сентября по 2 е октября сразу два российских мегаполиса станут центром дискуссий о цифровой безопасности.
В популярной платформе DevSecOps GitLab обнаружена опаснейшая уязвимость CVE-2026-85706, получившая максимальные 10 баллов по шкале CVSS.
В ночь на 14 сентября 2026 года крупный телеком-оператор SkyNet столкнулся с масштабным инфраструктурным аварийным сбоем.
Президент США Дональд Трамп преуменьшил опасения, связанные с быстрыми темпами развития искусственного интеллекта, и выступил против замедления его разработки, подчеркнув приоритет американского лидерства над Китаем.
Конференция пройдет в Ташкенте 22–23 сентября 2026 года.
«Лаборатория Касперского» признана лидером мирового рейтинга SPARK Matrix™: Extended Detection and Response (XDR), подготовленного международным аналитическим агентством QKS Group.
После сентябрьского обновления ОС Windows компании Microsoft и Citrix сообщили о проблемах в работе служб удалённых рабочих столов и VDI-сред.
